币须知道8 月 25 日，安全公司 Socket 发现一批针对 Firefox 用户的恶意加密钱包扩展，并将其关联至名为「Offside Wallet Theft Factory」的攻击活动。目前已关联 77 个扩展身份，其中 40 个被确认具有恶意行为，活动时间至少从 2026 年 3 月持续至 8 月。
这些扩展主要伪装成 OKX、Rabby Wallet、TronLink 等知名 Web3 钱包，通过高度仿真的钱包界面诱导用户导入已有钱包，窃取助记词或私钥。其中约一半直接要求用户输入助记词，另有 13 个为被篡改的 Rabby 版本，会在用户保存钱包账户信息时将数据发送至外部服务器，另有 5 个扩展会收集已保存凭证及剪贴板内容。
Socket 还发现，至少 9 个恶意扩展此前曾以足球、篮球、NBA 等体育比分应用形式运营，积累用户和评价后，再通过更新替换为钱包窃取代码。此外，还有 37 个扩展伪装成密码生成器、VPN、汇率转换器等工具，实际运行体育比分程序。
Socket 提醒，若用户曾在相关扩展中输入助记词或私钥，应视为钱包凭证已永久泄露，仅卸载扩展无法撤销已经外传的助记词或私钥，应立即将资产转移至全新钱包。
